p PatchFirst

CVE-2026-85078

CVE-2026-85078 · sanic chunked trailer request smuggling allows hidden second request execution

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Sanic is an opensource python web server/framework. In version 25.12.0, Sanic's core HTTP/1.1 chunked-body handling does not fully consume the trailer-part after the terminating zero chunk before reusing the keep-alive connection buffer. A remote unauthenticated client can place attacker-controlled bytes in that trailer region, causing Sanic to parse and route them as a hidden second request after the outer request. This breaks HTTP request-boundary integrity and can provide a request-smuggling primitive when Sanic is deployed behind intermediaries. This issue is fixed in version 25.12.1.

CVSS 6.5 · Moyenne · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • sanic

    Versions du logiciel
    • < 24.12.1: Concernée
    • >= 25.12.0, < 25.12.1: Concernée

    Aucun correctif publié

  • sanic PyPI

    Versions du logiciel
    • 0.1.0
    • 0.1.1
    • 0.1.3
    • 0.1.4
    • 0.1.5
    • 0.1.6
    • 0.1.7
    • 0.1.8
    • 0.1.9
    • 0.2.0
    • 0.3.0
    • 0.3.1
    • 0.4.0
    • 0.4.1
    • 0.5.0
    • 0.5.1
    • 0.5.2
    • 0.5.4
    • 0.6.0
    • 0.7.0
    • 0.8.0
    • 0.8.1
    • 0.8.2
    • 0.8.3
    • 18.12.0
    • 19.12.0
    • 19.12.2
    • 19.12.3
    • 19.12.4
    • 19.12.5
    • 19.3.1
    • 19.6.0
    • 19.6.2
    • 19.6.3
    • 19.9.0
    • 20.12.0
    • 20.12.1
    • 20.12.2
    • 20.12.3
    • 20.12.4
    • 20.12.5
    • 20.12.6
    • 20.12.7
    • 20.3.0
    • 20.6.0
    • 20.6.1
    • 20.6.2
    • 20.6.3
    • 20.9.0
    • 20.9.1
    • 21.12.0
    • 21.12.1
    • 21.12.2
    • 21.3.0
    • 21.3.1
    • 21.3.2
    • 21.3.4
    • 21.6.0
    • 21.6.1
    • 21.6.2
    • 21.9.0
    • 21.9.1
    • 21.9.2
    • 21.9.3
    • 22.12.0
    • 22.3.0
    • 22.3.1
    • 22.3.2
    • 22.6.0
    • 22.6.1
    • 22.6.2
    • 22.9.0
    • 22.9.1
    • 23.12.0
    • 23.12.1
    • 23.12.2
    • 23.3.0
    • 23.6.0
    • 24.12.0
    • 24.6.0
    Plages de versions concernées
    • ECOSYSTEM: < 24.12.1

    Mettez à jour vers 24.12.1

  • sanic PyPI

    Versions du logiciel
    • 25.12.0
    Plages de versions concernées
    • ECOSYSTEM: ≥ 25.12.0, < 25.12.1

    Mettez à jour vers 25.12.1

  • sanic PyPI

    Versions du logiciel
    • 0.1.0
    • 0.1.1
    • 0.1.3
    • 0.1.4
    • 0.1.5
    • 0.1.6
    • 0.1.7
    • 0.1.8
    • 0.1.9
    • 0.2.0
    • 0.3.0
    • 0.3.1
    • 0.4.0
    • 0.4.1
    • 0.5.0
    • 0.5.1
    • 0.5.2
    • 0.5.4
    • 0.6.0
    • 0.7.0
    • 0.8.0
    • 0.8.1
    • 0.8.2
    • 0.8.3
    • 18.12.0
    • 19.12.0
    • 19.12.2
    • 19.12.3
    • 19.12.4
    • 19.12.5
    • 19.3.1
    • 19.6.0
    • 19.6.2
    • 19.6.3
    • 19.9.0
    • 20.12.0
    • 20.12.1
    • 20.12.2
    • 20.12.3
    • 20.12.4
    • 20.12.5
    • 20.12.6
    • 20.12.7
    • 20.3.0
    • 20.6.0
    • 20.6.1
    • 20.6.2
    • 20.6.3
    • 20.9.0
    • 20.9.1
    • 21.12.0
    • 21.12.1
    • 21.12.2
    • 21.3.0
    • 21.3.1
    • 21.3.2
    • 21.3.4
    • 21.6.0
    • 21.6.1
    • 21.6.2
    • 21.9.0
    • 21.9.1
    • 21.9.2
    • 21.9.3
    • 22.12.0
    • 22.3.0
    • 22.3.1
    • 22.3.2
    • 22.6.0
    • 22.6.1
    • 22.6.2
    • 22.9.0
    • 22.9.1
    • 23.12.0
    • 23.12.1
    • 23.12.2
    • 23.3.0
    • 23.6.0
    • 24.12.0
    • 24.6.0
    • 25.12.0
    Plages de versions concernées
    • ECOSYSTEM: < 24.12.1 ∪ ≥ 25.12.0, < 25.12.1

    Mettez à jour vers 24.12.1; Mettez à jour vers 25.12.1

Sources originales

Vérifiez votre serveur →